לתת ל-SSH להשתמש במאזין SOCKS מקומי כשהוא זמין

להגביל את בדיקת Match exec של OpenSSH ליעד אחד ולהבין מה בדיקת פורט מקומי מוצלחת מוכיחה ומה היא אינה מוכיחה.

מאזין SOCKS מקומי שימושי ברשתות מסוימות וחסר באחרות. OpenSSH יכול לבחור פקודת פרוקסי באופן מותנה, בלי שהבחירה תחול על כל מארח.

עבור OpenSSH עם הצורה של OpenBSD של nc, תצורת לקוח להמחשה היא:

Host work-server
    HostName ssh.example.net
    User alex

Match originalhost work-server exec "nc -z -w 1 127.0.0.1 1080"
    ProxyCommand nc -X 5 -x 127.0.0.1:1080 %h %p

Match all

originalhost מגביל את הבדיקה לשם שנמסר בשורת הפקודה של SSH. exec מתאים כאשר הפקודה שלו מסתיימת בהצלחה. Match all האחרון מסיים את התחום המותנה הזה עבור ההגדרות שאחריו.

הדבר מניח ששום הגדרה מוקדמת רלוונטית לא בחרה כבר פקודת פרוקסי או נתיב קפיצה מתנגשים. SSH משתמש בדרך כלל בערך הראשון שמתקבל עבור אפשרות תצורה, ולכן ברירת מחדל רחבה בראש הקובץ עלולה למנוע מתנאי מאוחר יותר להשפיע כמצופה.

שקע שמאזין הוא הבטחה צנועה

הבדיקה בוחנת גישה ב-TCP לפורט מקומי. היא אינה משלימה משא ומתן SOCKS, אינה מקימה את חיבור היעד המבוקש ואינה מוכיחה איזו תוכנית מחזיקה בפורט הזה. המאזין גם יכול להיעלם לאחר הבדיקה.

מגבלת הזמן שומרת על בדיקה כושלת בתוך גבולות. האפשרויות המוצגות שייכות לממשק nc של OpenBSD; תוכניות אחרות עם אותו שם קובץ עשויות לחשוף אפשרויות שונות.

כאשר התנאי אינו מתאים, הדוגמה הזו מותירה את החיבור בלי ProxyCommand זה, ומאפשרת את המסלול הרגיל שלו. זה הולם רק כאשר גישה ישירה מותרת. מדיניות פרוקסי מחייבת לא צריכה להשתמש בבדיקת זמינות כהרשאה לברוח למסלול אחר.

שם המארח של SSH היעד ובדיקות מפתח המארח עדיין מזהים את שרת היעד. בחירת עוזר תעבורה אינה סיבה לקבל מפתח מארח בלתי צפוי.

מאמרים קשורים